개인정보보호위원회는 금융분야 개인정보 처리에 대한 사전 실태점검을 통해 법령상 근거 없이 주민등록번호를 처리한 사례를 확인하고 개선했다고 27일 밝혔다.

개인정보위는 신용카드사의 '주민등록번호 처리의 제한'(개인정보 보호법 제24조의2) 의무 위반을 제재한 데 이어 후속 조치로 지난 4월 1일부터 금융 6개 분야(△은행 △생명보험 △손해보험 △신용카드 △저축은행 △증권) 220개 사를 대상으로 사전 실태점검을 실시했다.

이번 점검에서는 금융거래 과정에서 법령에 따라 주민등록번호를 처리하는 경우와 달리 회원정보 관리, 계정관리 등 금융거래와 직접 관련이 없는 일반 업무에서도 관행적으로 주민등록번호를 처리하고 있는지 중점적으로 살펴봤다.

앞서 3월 개인정보위는 약 297만 명의 개인신용정보가 유출된 롯데카드에 과징금 96억 2000만 원의 제재를 부과했다. 조사 과정에서 최소한의 개인정보만 기록해야 하는 로그에 롯데카드가 주민등록번호를 포함한 다수의 개인정보를 별도의 검토 없이 저장해온 것을 확인했다. 이는 대규모 개인정보 유출로 이어진 원인 중 하나로 파악됐다.

주민등록번호는 개인을 고유하게 식별할 수 있고 임의로 변경하기 어려워, 유출·오남용될 경우 피해가 장기간 지속될 우려가 큰 만큼 각별한 보호가 필요하다. 이에 '개인정보 보호법 제24조의2(주민등록번호 처리의 제한)'는 법령에서 구체적으로 허용한 경우 등을 제외하고는 주민등록번호 처리를 원칙적으로 금지하고 있다.

금융분야는 '금융실명거래 및 비밀보장에 관한 법률' 등 관계 법령에 따라 금융거래 과정에서 주민등록번호를 처리해야 하는 경우가 많다. 그러나 이 과정에서 주민등록번호를 기본적인 본인 식별수단으로 활용하는 관행이 형성되면서, 법령상 근거가 없는 일반 업무(금융거래 없는 온라인 서비스 회원가입, 아이디 찾기, 비밀번호 재설정 등)까지 주민등록번호를 처리하는 절차가 일부 남아있었다.

개인정보위는 이번 사전 실태점검을 통해 금융분야 사업자 스스로 온라인 서비스 과정에서 주민등록번호 처리 필요성을 재검토하고 불필요한 처리 절차는 개선하도록 했다. 이는 사후 제재에 그치지 않고 국민 생활과 밀접한 금융분야에서의 주민등록번호 처리 관행을 선제적으로 살펴보고 자율적인 개선을 유도한 것으로, 특히 개인정보위가 추진해 온 예방 중심 개인정보 보호의 취지를 금융분야 전반에 구체화했다는 점에서 의미가 크다.

개인정보위는 점검 과정에서 사업자가 자체적으로 필요한 조치를 완료한 경우에는 별도의 처분 없이 점검을 종결한다는 입장이다.

위원회는 앞으로도 사전 실태 점검을 통해 국민 생활과 밀접한 분야를 중심으로 개인정보 침해 위험요인을 선제적으로 발굴·개선해 나갈 방침이다.

yjra@news1.kr